CVE-2026-76186

Apache Airflow Keycloak provayderi: Airflow 3.3 versiyasından etibarən Keycloak autentifikasiya meneceri istifadəçinin kimliyini imzalanmış Airflow sessiya tokenindən götürür, lakin hər bir avtorizasiya qərarı üçün istifadə olunan Keycloak giriş və yeniləmə (access and refresh) tokenlərini ayrıca, autentifikasiya olunmamış kukilərdən götürür və bu ikisinin eyni subyekti təsvir edib-etmədiyini heç vaxt yoxlamır. Özünə məxsus hər hansı etibarlı Airflow girişi olan və eyni zamanda kənar yolla əldə edilmiş başqa bir subyektin Keycloak giriş və ya yeniləmə tokeninə sahib olan istifadəçi bunları birləşdirə bilər: bu zaman Airflow sorğuları kənar tokenin imtiyazları ilə avtorizasiya edir, lakin sessiya kimliyi, audit loqu və keş açarları hücum edənin öz hesabını göstərməyə davam edir. Yeniləmə yolu kənar tokenləri daşıyan orijinal kimlik üçün yeni bir Airflow sessiya tokeni təqdim edir, beləliklə, uyğunsuz cütləşmə sessiyalar arası dövrdə də qalır. Keycloak autentifikasiya meneceri ilə işləyən Airflow 3.3 və ya daha yeni versiyalarda tətbiq edilən sistemlərə təsir edir. Əvvəlki versiyalarda Keycloak tokenləri imzalanmış sessiya tokeninin daxilində yerləşdiyi üçün bağ mövcud idi, lakin onlar ayrıca kukilərə keçdikdə bu bağ itdi. apache-airflow-providers-keycloak istifadəçilərinə kukilər vasitəsilə təmin edilən tokenləri sessiya kimliyinə bağlayan 0.10.0 və ya daha yeni versiyaya yüksəltmə etmək tövsiyə olunur.